A expansão dos agentes de inteligência artificial usados para programar está criando uma nova superfície de ataque: as ferramentas às quais esses sistemas têm acesso. Pesquisadores da ASSET Research Group demonstraram que servidores maliciosos baseados no Model Context Protocol (MCP) podem induzir agentes de código a acessar informações sensíveis, incluindo chaves SSH e código-fonte.
O alerta é relevante porque o MCP permite conectar modelos de IA a ferramentas externas, sistemas de arquivos, bancos de dados, APIs e ambientes de desenvolvimento. Quando uma ferramenta recebe permissões amplas, um servidor malicioso pode tentar utilizar a confiança do agente para conduzi-lo a ações que não fazem parte da tarefa original.
A pesquisa se soma a uma série de estudos recentes que mostram que o problema da segurança de agentes de IA não está apenas no modelo, mas também na forma como ferramentas, permissões e fontes externas são integradas ao ambiente de desenvolvimento.
O que é o MCP e por que ele importa?
O Model Context Protocol (MCP) é um padrão criado para permitir que aplicações de inteligência artificial se conectem a ferramentas e fontes externas de informação.
Na prática, um agente de programação pode utilizar um servidor MCP para acessar arquivos, executar determinadas operações, consultar serviços ou interagir com outros sistemas.
Essa capacidade amplia bastante o que um agente consegue fazer sem intervenção humana constante.
O problema aparece quando uma ferramenta não confiável recebe acesso a um ambiente que contém informações importantes.
Em um computador utilizado por um desenvolvedor, por exemplo, podem existir chaves SSH, tokens de APIs, credenciais de nuvem, arquivos de configuração e código proprietário.
O ataque explora a confiança do agente
A pesquisa da ASSET Research Group demonstra uma característica importante dos ataques contra sistemas agentivos: não é necessariamente preciso comprometer diretamente o computador da vítima.
Em determinados cenários, basta fornecer ao agente uma ferramenta ou fonte de informação maliciosa.
O servidor MCP pode apresentar instruções que parecem relacionadas à operação solicitada pelo usuário, mas que tentam direcionar o agente para ações adicionais.
Como o agente interpreta informações recebidas pelas ferramentas como parte do contexto utilizado para tomar decisões, uma instrução maliciosa pode acabar influenciando seu comportamento.
Esse tipo de técnica é relacionado aos chamados ataques de prompt injection, nos quais informações externas são utilizadas para manipular a interpretação feita pelo modelo.
Chaves SSH estão entre os principais alvos
As chaves SSH são particularmente sensíveis porque podem permitir autenticação em servidores e outros sistemas sem a necessidade de uma senha tradicional.
Se um agente de programação tiver acesso ao diretório pessoal do desenvolvedor, uma ferramenta maliciosa pode tentar convencê-lo a localizar arquivos relacionados à configuração SSH.
O mesmo princípio pode ser aplicado a outros arquivos que contenham credenciais.
Entre os dados que podem representar risco estão:
- chaves SSH;
- tokens de acesso;
- credenciais de serviços de nuvem;
- chaves de APIs;
- arquivos
.env; - configurações de bancos de dados;
- código-fonte proprietário;
- credenciais utilizadas por ferramentas de desenvolvimento.
O problema aumenta quando o agente possui simultaneamente acesso a dados privados e capacidade de se comunicar com serviços externos.
O perigo está na combinação de permissões
Um agente que só consegue ler uma documentação pública representa um risco relativamente limitado.
A situação muda quando o mesmo sistema consegue:
- ler arquivos locais;
- executar ferramentas;
- acessar a internet;
- utilizar credenciais disponíveis no ambiente;
- enviar informações para serviços externos.
Essa combinação cria uma cadeia potencial de exfiltração.
Pesquisas recentes sobre segurança de agentes destacam justamente essa combinação entre acesso a dados privados, conteúdo não confiável e capacidade de realizar ações externas como um dos principais fatores de risco.
O problema não depende apenas do modelo de IA
Um dos aspectos mais importantes das pesquisas recentes é que o mesmo modelo pode apresentar comportamentos diferentes dependendo da ferramenta que o executa e das permissões disponíveis.
Isso significa que escolher um modelo considerado mais seguro não resolve necessariamente todo o problema.
O ambiente ao redor da IA também precisa ser protegido.
Um agente com boas barreiras de segurança e acesso limitado pode representar um risco menor do que o mesmo modelo conectado a dezenas de ferramentas com permissões amplas.
A arquitetura, portanto, passa a ser tão importante quanto o modelo utilizado.
MCP já aparece em diferentes ataques
O alerta da ASSET Research Group ocorre em um momento de aumento das pesquisas envolvendo ataques contra ambientes MCP.
Em junho, pesquisadores demonstraram uma vulnerabilidade no Amazon Q Developer relacionada ao processamento de configurações de servidores MCP. Em determinadas condições, um repositório malicioso poderia fazer o assistente executar comandos com o ambiente do desenvolvedor, expondo credenciais disponíveis na sessão. A falha foi identificada como CVE-2026-12957, com pontuação CVSS 8,5.
Outro estudo mostrou que conteúdo malicioso recebido por um servidor MCP pode funcionar como uma espécie de “instrução invisível” para o agente, levando-o a executar ações que não correspondem à intenção original do usuário.
Esses casos mostram que a segurança de agentes precisa considerar não apenas o código da aplicação, mas também todas as ferramentas conectadas ao modelo.
Ataques podem ocorrer sem malware tradicional
Uma das características mais preocupantes desse cenário é que o ataque pode não apresentar os sinais tradicionais de um malware.
O agente pode estar executando um programa legítimo.
O servidor MCP pode possuir uma aparência legítima.
A comunicação pode ocorrer por mecanismos esperados pela aplicação.
E as ações podem ser realizadas pelo próprio agente utilizando permissões concedidas pelo usuário.
Em vez de explorar diretamente uma vulnerabilidade técnica, o invasor pode tentar manipular o processo de tomada de decisão da IA.
Isso torna a detecção mais complexa para ferramentas tradicionais de segurança.
O risco para empresas é ainda maior
Em ambientes corporativos, agentes de programação normalmente trabalham com projetos que podem conter informações estratégicas.
Um único ambiente de desenvolvimento pode reunir código proprietário, credenciais de serviços em nuvem, acesso a repositórios privados e configurações de infraestrutura.
Se um agente conectado a esse ambiente for manipulado, o impacto potencial ultrapassa o computador de um único desenvolvedor.
Uma credencial roubada pode permitir movimentação para outros sistemas, enquanto um código-fonte exposto pode revelar informações sobre produtos ainda não lançados ou vulnerabilidades internas.
Por isso, empresas precisam tratar agentes de IA como novos componentes da infraestrutura de segurança, e não simplesmente como ferramentas de produtividade.
Como reduzir o risco?
A principal recomendação é aplicar o princípio do menor privilégio.
Um agente deve receber apenas os acessos necessários para executar determinada tarefa.
Entre as medidas que podem reduzir a exposição estão:
- evitar servidores MCP desconhecidos;
- verificar a origem e a reputação das ferramentas antes da instalação;
- limitar o acesso do agente ao sistema de arquivos;
- separar ambientes de desenvolvimento e produção;
- evitar disponibilizar chaves SSH ao agente quando elas não forem necessárias;
- utilizar ambientes isolados ou contêineres;
- limitar conexões de saída;
- monitorar as ações realizadas pelos agentes;
- revisar permissões concedidas às ferramentas;
- manter registros das chamadas realizadas pelos servidores MCP.
Também é importante evitar que uma única ferramenta tenha simultaneamente acesso irrestrito a arquivos sensíveis e capacidade de enviar dados para a internet.
O desenvolvedor continua sendo parte da defesa
Mesmo com mecanismos automáticos de segurança, o comportamento do desenvolvedor continua importante.
A instalação de um servidor MCP deve ser tratada de forma semelhante à instalação de uma nova dependência de software.
Antes de conectar uma ferramenta a um agente com acesso ao ambiente de trabalho, é necessário avaliar sua procedência, código, permissões solicitadas e necessidade real.
A conveniência de permitir que uma IA execute tarefas automaticamente não deve eliminar a capacidade de controlar o que ela pode ler, modificar e enviar para fora do ambiente.
Agentes de IA estão criando uma nova fronteira de segurança
O caso investigado pela ASSET Research Group mostra que a evolução dos agentes de programação também muda o perfil das ameaças digitais.
No modelo tradicional, um aplicativo executa funções previamente determinadas.
Com agentes de IA, o sistema pode interpretar instruções, escolher ferramentas, acessar informações e decidir uma sequência de ações.
Isso cria novas possibilidades de produtividade, mas também significa que conteúdo malicioso pode tentar influenciar a própria lógica de decisão do sistema.
O crescimento do MCP torna essa questão ainda mais relevante, já que cada novo servidor conectado ao agente pode ampliar suas capacidades — e também sua superfície de ataque.
Para empresas brasileiras que começam a adotar agentes de IA no desenvolvimento de software, a principal lição é evitar a lógica de que “se a ferramenta funciona, ela é segura”. A segurança precisa acompanhar cada conexão, permissão e fluxo de dados.
No novo cenário de desenvolvimento assistido por IA, proteger o modelo é apenas uma parte da equação. É preciso proteger também tudo aquilo que a inteligência artificial consegue acessar.
